Control de seguridad en sesiones Web

Como continuación de la entradilla sobre autentificación de usuarios vamos a introducir en el servicio Web unas pocas líneas adicionales.

Para que el usuario que está autentificado no registre las páginas privadas en la caché del navegador podemos tener la tentación de poner etiquetas META con valores del tipo NO-CACHE o EXPIRES=-1.

Sin embargo creo que es una práctica mucho más ortodoxa hacer caso al fabricante del servidor IIS y leer el artículo How to prevent caching in Internet Explorer.

Para los que tengan bastante con una sola lectura les diré que la recomendación es agregar a cada una de las páginas ASP que no deseamos dejar en la caché el siguiente código:


<% Response.CacheControl = "no-cache" %>
<% Response.AddHeader "Pragma", "no-cache" %>
<% Response.Expires = -1 %>


Estas líneas es bueno agregarlas en las páginas que tienen información más sensible pero tal vez no en todas las páginas de nuestro servidor; a fin de cuentas las cachés de los navegadores sirven para no sobrecargar nuestros servidores.